Halo deui! Kuring geus deui kapanggih database kabuka kalayan data médis pikeun anjeun. Hayu atuh ngingetkeun yén nembe aya tilu artikel abdi ngeunaan topik ieu: , и .
Waktos ieu, server Elasticsearch sareng log tina sistem IT médis jaringan laboratorium sayogi umum.Puseur pikeun Diagnostics Molekul"(CMD, www.cmd-online.ru).
Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.
server kapanggih dina isuk 1. April jeung teu sigana lucu keur kuring pisan. A bewara ngeunaan masalah indit ka CMD kira 10 am (waktu Moscow) jeung kira 15:00 database jadi inaccessible.
Numutkeun kana mesin pencari Shodan, pangladén ieu mimiti disayogikeun umum dina 09.03.2019/XNUMX/XNUMX. Ngeunaan éta , Kuring nulis artikel misah.
Inpormasi anu sensitip pisan tiasa dicandak tina log, kalebet Ngaran lengkep, jenis kelamin, tanggal kalahiran pasien, ngaran lengkep dokter, biaya panalungtikan, data panalungtikan, file kalawan hasil screening. jeung leuwih.
Conto log kalayan hasil tés pasien:
"<Message FromSystem="CMDLis" ToSystem="Any" Date="2019-02-26T14:40:23.773"><Patient ID="9663150" Code="A18196930" Family="XXX" Name="XXX" Patronymic="XXX" BornDate="XXX-03-29" SexType="F"><Document>Паспорт</Document><Order ID="11616539" Number="DWW9867570" State="normal" Date="2017-11-29T12:58:26.933" Department="1513" DepartmentAltey="13232" DepartmentName="Смайл Элит" FullPrice="1404.0000" Price="1404.0000" Debt="1404.0000" NaprOrdered="2" NaprCompleted="2" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" Registrator="A759" Doctor="A75619" DoctorFamily="XXX" DoctorName="XXX" DoctorPatronymic="XXX"><OrderInfo Name="TEMP_CODE">0423BF97FA5E</OrderInfo><OrderInfo Name="Беременность">-1</OrderInfo><OrderInfo Name="Пин">DWW98675708386841791</OrderInfo><OrderInfo Name="СкидкаНаЗаказ">0</OrderInfo><OrderInfo Name="СМКдействителенДо">18.03.2019</OrderInfo><OrderInfo Name="СМКсертификат">РОСС RU.13СК03.00601</OrderInfo><Serv Link="1" PathologyServ="1" Code="110101" Name="Общий анализ мочи (Urine test) с микроскопией осадка" Priority="NORMAL" FullPrice="98.0000" Price="98.0000" ReadyDate="2017-11-30T07:30:01" FinishDate="2017-11-29T20:14:22.160" State="normal"/><Serv Link="2" Code="300024" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Priority="NORMAL" FullPrice="1306.0000" Price="1306.0000" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" State="normal"/><Probe ID="64213791" Number="3716965325" Date="2017-11-29T00:00:00" OuterNumber="66477805" Barcode="3716965325" Biomater="66" BiomaterName="Кровь (сыворотка)" Type="physical"><Probe ID="64213796" Number="P80V0018" Date="2017-11-29T12:58:26.933" Biomater="66" BiomaterName="Кровь (сыворотка)" WorkList="80" WorkListName="Пренатальный скрининг" Type="virtual"><Param State="Valid" User="A872" UserFIO="XXX" UserStaff="Врач КЛД" Code="3005" guid="7BA0745FD502A80C73C2CAD341610598" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Group="ПРЕНАТАЛЬНЫЙ СКРИНИНГ" GroupCode="80" GroupSort="0" Page="1" Sort="2"><LinkServ IsOptional="0">2</LinkServ><Result Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Value="Готов (см.приложение)" User="A872" UserFIO="XXX" Date="2017-11-29T20:39:03.370" isVisible="1" HidePathology="0" IsNew="0"><File Name="Пренатальный скрининг 2 триместр_page1.png" Type="image" Format="png" Title="3716965325_prenetal2_page1" Description="Пренатальный скрининг 2 триместр_page1" Sort="1">iVBORw0KGgoAAAANSUhEUgAABfoAAAfuCAIAAAArOR8rAAD//0lEQVR4Xuy9P7BtQ7u+/e3oECF6iRAhQoQI0SZCtIkQIdpEiBCxI0SIECFiV50qRKg6VYgQIUKEiDfiRL7rnPtXz+nqHnPMsfb6s+cc61rBqjl79Oh++uoe/eceT/c8888///Kuring geus ngeusian sakabeh data sénsitip kalawan "X". Dina kanyataanana, sagalana tetep kabuka.
Tina log sapertos kitu éta gampang (ku jalan ngarobah tina Base64) pikeun kéngingkeun file PNG kalayan hasil saringan, parantos dina bentuk anu gampang dibaca:
Ukuran total log ngaleuwihan 400 MB sareng jumlahna ngandung langkung ti sajuta éntri. Éta jelas yén henteu unggal catetan ngagambarkeun data pasien anu unik.
Tanggapan resmi ti CMD:
Kami ngahaturkeun nuhun pikeun gancang ngirimkeun inpormasi dina 01.04.2019 April XNUMX ngeunaan ayana kerentanan dina logging kasalahan Elasticsearch sareng pangkalan data panyimpenan.
Dumasar inpormasi ieu, karyawan urang, sareng spesialis anu relevan, aksés dugi ka pangkalan data anu ditangtukeun. Kasalahan dina nransferkeun inpormasi rahasia ka pangkalan data téknis parantos dilereskeun.
Salila analisa kajadian, éta mungkin pikeun manggihan yén penampilan database dieusian kalawan log kasalahan dina domain publik éta alatan alesan patali faktor manusa. Aksés kana data éta langsung ditutup dina 01.04.2019/XNUMX/XNUMX.
Dina waktos ayeuna, spesialis internal sareng éksternal nyandak ukuran pikeun ngaudit tambahan infrastruktur IT pikeun panyalindungan data.
Organisasi urang parantos ngembangkeun peraturan khusus pikeun damel sareng data pribadi sareng sistem tingkat tanggung jawab tanaga.
Infrastruktur parangkat lunak ayeuna nganggo database Elasticsearch pikeun nyimpen kasalahan. Pikeun ningkatkeun reliabilitas sababaraha sistem, server anu saluyu bakal dialihkeun ka pusat data pasangan urang, ka lingkungan parangkat lunak sareng hardware anu disertipikasi.
Hatur nuhun pikeun informasi timely disadiakeun.
Warta ngeunaan bocor inpormasi sareng insider tiasa dipendakan dina saluran Telegram kuring "".
sumber: www.habr.com